Como Melhorar a Velocidade do WiFi Sem Comprar Novos Pontos de Acesso

Como melhorar a velocidade do WiFi sem comprar novos access points Um informativo técnico da Purple - Aproximadamente 10 minutos --- INTRODUÇÃO E CONTEXTO (aprox. 1 minuto) --- Bem-vindo à série de informativos técnicos da Purple. Sou o seu anfitrião e hoje vamos abordar uma das conversas mais comuns que tenho com diretores de TI e CTOs em locais corporativos - o problema de capacidade do WiFi. Você tem um hotel, uma rede de varejo, um centro de convenções ou um estádio. Seus visitantes e funcionários estão reclamando de WiFi lento. Seu primeiro instinto - e, sinceramente, o instinto com o qual o fabricante da sua infraestrutura está contando - é comprar mais access points. Novo hardware, maior implantação, fatura mais alta. Mas aí está o detalhe. Na maioria dos casos que analisei, o problema não são os access points de forma alguma. O problema é o que está passando por eles. E isso é um problema de software, o que significa que é uma solução de software. Hoje vou mostrar exatamente como o filtro DNS e a otimização na camada de software podem recuperar trinta por cento ou mais da sua largura de banda existente - sem tocar em uma única peça de hardware. Vamos cobrir a arquitetura técnica, cenários de implantação do mundo real e o caso de negócios que você pode apresentar ao seu CFO. Vamos começar. --- MERGULHO TÉCNICO PROFUNDO (aprox. 5 minutos) --- Primeiro, vamos estabelecer o problema central. Quando você analisa o que realmente está consumindo largura de banda em uma rede WiFi de visitantes corporativa típica, a divisão é genuinamente surpreendente para a maioria das pessoas. Redes de publicidade e rastreadores de terceiros - a telemetria de segundo plano que todo aplicativo em cada dispositivo está enviando constantemente - representam algo entre vinte e cinco e quarenta por cento do volume de consultas DNS em uma rede de visitantes típica. Essas não são solicitações que seus visitantes estão fazendo conscientemente. Elas são automáticas. Toda vez que alguém abre um aplicativo de notícias, uma plataforma de mídia social ou um aplicativo de varejo no celular, esse aplicativo dispara dezenas de consultas DNS para servidores de anúncios, plataformas de análise e pixels de rastreamento. Nenhum desse tráfego está entregando valor aos seus visitantes. Todo ele está consumindo a capacidade do seu uplink. Além disso, você tem tráfego de malware e botnets. Dispositivos comprometidos - e em uma grande rede de visitantes, você terá dispositivos comprometidos - estão constantemente tentando se comunicar com servidores de comando e controle. Esse tráfego não está apenas desperdiçando largura de banda, ele é uma responsabilidade de conformidade e segurança. Portanto, antes que um único byte de tráfego legítimo - uma chamada de vídeo, uma página da web, uma transação de pagamento - chegue ao seu uplink, você já queimou de um terço a metade da sua capacidade disponível com ruído. Agora, o filtro DNS opera na camada de resolução. Cada solicitação de internet começa com uma consulta DNS - uma pesquisa que traduz um nome de domínio em um endereço IP. O filtro DNS intercepta essa consulta antes mesmo que ela chegue ao seu uplink. Se o domínio se resolver para uma rede de anúncios, um host de malware conhecido ou uma categoria restrita por política, a consulta será bloqueada na camada DNS. O dispositivo recebe uma resposta nula. Nenhum dado é transferido. Nenhum consumo de largura de banda ocorre. Isso é fundamentalmente diferente de um firewall ou de um proxy. Um firewall inspeciona os pacotes depois que eles já chegaram. Um proxy intercepta o tráfego no meio do caminho. O filtro DNS interrompe a solicitação antes que ela comece - e é por isso que a recuperação da largura de banda é tão significativa. Você não está limpando o tráfego que já chegou; você está impedindo que ele seja solicitado em primeiro lugar. Do ponto de vista da arquitetura, a implantação é simples. Você configura seu servidor DHCP para apontar os dispositivos clientes para o seu resolvedor de filtro DNS, em vez do DNS padrão do seu provedor de internet. Isso geralmente é uma alteração de duas linhas na sua configuração DHCP. As regras de filtragem são mantidas de forma centralizada - na nuvem ou localmente, dependendo dos seus requisitos de conformidade - e aplicadas uniformemente em todos os dispositivos conectados, independentemente de qual ponto de acesso eles estejam associados. Este é um ponto crítico para operadores multi-site. Uma rede de varejo com duzentas lojas, ou um grupo hoteleiro com cinquenta propriedades, pode implantar uma política de filtro DNS consistente em todo o patrimônio a partir de um único console de gerenciamento. Sem visitas de engenharia no local. Sem configuração por site. As alterações de política se propagam em minutos. Agora, há uma consideração técnica importante aqui que quero sinalizar para os arquitetos presentes. O surgimento do DNS over HTTPS - DoH - cria um desafio para o filtro DNS tradicional. Quando um dispositivo usa DoH, ele criptografa suas consultas DNS e as envia diretamente para um resolvedor específico - geralmente um operado por um desenvolvedor de navegador - ignorando completamente o seu DNS no nível da rede. Isso significa que suas regras de filtragem são contornadas. A solução é impor a interceptação de DoH no nível da rede. Isso envolve identificar o tráfego DoH - que roda na porta 443 para faixas de IP de resolvedores conhecidos - e bloqueá-lo ou redirecioná-lo para o seu próprio resolvedor de filtragem compatível com DoH. Esta é uma configuração mais avançada, mas é essencial para manter a eficácia da filtragem em redes modernas, onde Chrome, Firefox e iOS estão cada vez mais definindo o DNS criptografado como padrão. A Purple publicou um guia detalhado sobre as implicações do DNS over HTTPS para a filtragem de WiFi público, que recomendo a leitura junto com este informativo. Além do filtro DNS, existem várias otimizações complementares na camada de software que valem a pena implementar em paralelo. O band steering é um dos mais impactantes. A maioria dos pontos de acesso modernos suporta as bandas de 2,4 gigahertz e 5 gigahertz. A banda de 5 gigahertz oferece uma taxa de transferência significativamente maior, mas menor alcance. Sem o band steering ativo, os dispositivos geralmente se associam à banda de 2,4 gigahertz por padrão - particularmente dispositivos mais antigos e hardware IoT - criando congestionamento em uma banda que já está lotada de tráfego herdado. Ativar o band steering em sua controladora sem fio força os dispositivos compatíveis para 5 gigahertz, liberando a frequência de 2,4 gigahertz para dispositivos que realmente precisam dela. A consolidação de SSID é outra vitória rápida. Cada SSID transmitido consome tempo de transmissão por meio de beacon frames - tráfego de gerenciamento que cada dispositivo no alcance precisa processar. Um local que opera de oito a dez SSIDs para diferentes departamentos, contratados e categorias de visitantes consome uma porcentagem considerável de tempo de transmissão com sobrecarga de gerenciamento. Consolidar para três ou quatro SSIDs - visitantes, equipe, IoT e gerenciamento - e usar marcação de VLAN para segmentação em vez de SSIDs separados pode recuperar esse tempo de transmissão imediatamente. A imposição de políticas de QoS - Quality of Service - é a terceira alavanca. Sem QoS, um único visitante transmitindo vídeo em 4K pode saturar uma célula de rádio, degradando a experiência de todos os outros dispositivos naquele ponto de acesso. Implementar limitação de taxa por cliente e priorização de tráfego - elevando o tráfego de VoIP e transações de PDV acima do streaming em massa - garante que o tráfego crítico de negócios seja protegido mesmo sob carga de pico. Por fim, o planejamento de canais e a otimização da potência de transmissão. Estes costumam ser definidos e esquecidos durante a implantação inicial e nunca mais revisitados. À medida que o ambiente de RF muda - novos edifícios, novas fontes de interferência, alterações na densidade de dispositivos - as atribuições de canal podem criar interferência de co-canal que degrada significativamente a taxa de transferência. Executar uma pesquisa de RF passiva e otimizar novamente as atribuições de canais é uma intervenção de custo zero que pode render melhorias substanciais na taxa de transferência. --- RECOMENDAÇÕES DE IMPLEMENTAÇÃO E ARMADILHAS (aprox. 2 minutos) --- Deixe-me dar uma sequência prática de implantação para um local de médio porte - por exemplo, um hotel de duzentos quartos ou um centro de distribuição varejista regional. Comece com uma medição de linha de base. Antes de alterar qualquer coisa, configure sua rede para capturar o volume de consultas DNS por categoria, o consumo de largura de banda por cliente e a utilização de uplink por hora do dia. Isso fornece o estado anterior para o cálculo de ROI do seu projeto. A maioria das plataformas empresariais de análise de WiFi exibe esses dados de forma nativa - a plataforma de análise da Purple, por exemplo, fornece visibilidade no nível do dispositivo que simplifica essa tarefa de linha de base. Passo dois: implemente o filtro de DNS no modo de monitoramento. A maioria das soluções corporativas de filtro de DNS suporta um modo passivo onde as consultas são registradas e categorizadas, mas não bloqueadas. Execute isso por quarenta e oito a setenta e duas horas para entender a composição do seu tráfego antes de aplicar qualquer política. Isso evita que falsos positivos interrompam o tráfego legítimo no primeiro dia. Passo três: habilite o bloqueio em fases. Comece com as categorias de maior confiança - domínios de malware conhecidos, comando e controle de botnets e redes de publicidade. Esses são bloqueios de baixo risco com alto impacto na largura de banda. Revise os logs diariamente na primeira semana para capturar quaisquer bloqueios inesperados. Passo quatro: adicione QoS e direcionamento de banda. Assim que o filtro de DNS estiver estável, implemente a limitação de taxa por cliente e o direcionamento de banda. Teste essas alterações fora do horário de pico e valide se os terminais de PDV, telefones VoIP e outros dispositivos essenciais para os negócios estão funcionando corretamente. Passo cinco: documente e meça. Após trinta dias, extraia suas métricas de utilização de largura de banda e compare com a sua linha de base. Na maioria das implementações, você verá uma redução de vinte a quarenta por cento na utilização do link de upload. Esse é o seu valor de ROI. Agora, as armadilhas. A mais comum que vejo é o bloqueio excessivo. Se você habilitar categorias agressivas de filtro de conteúdo sem revisar os logs primeiro, bloqueará serviços legítimos. Armazenamento em nuvem, aplicativos SaaS de negócios e até mesmo alguns domínios de processamento de pagamentos podem aparecer em bloqueios de categorias amplas. Sempre comece de forma conservadora e expanda. A segunda armadilha é ignorar o desvio de DoH. Se você implementar o filtro de DNS sem abordar o DoH, verá a eficácia do seu filtro diminuir com o tempo, à medida que mais dispositivos passam a usar o DNS criptografado por padrão. Aborde isso no nível da política de rede desde o primeiro dia. A terceira armadilha é falhar ao segmentar o tráfego de IoT. Dispositivos IoT - smart TVs, sistemas de gestão predial, sinalização digital - frequentemente geram um tráfego de DNS significativo para servidores de telemetria dos fabricantes. Se você não estiver segmentando a IoT em uma VLAN separada com sua própria política de filtro, poderá bloquear inadvertidamente a funcionalidade do dispositivo ao restringir suas regras de filtro. --- PERGUNTAS E RESPOSTAS RÁPIDAS (aprox. 1 minuto) --- Deixe-me passar pelas perguntas que recebo com mais frequência. "O filtro de DNS afetará a experiência dos visitantes?" Na prática, os visitantes nunca percebem. Os domínios que estão sendo bloqueados são telemetria de segundo plano, não o conteúdo que eles estão solicitando ativamente. Se houver alguma mudança, a experiência deles melhora porque há mais largura de banda disponível para as coisas que eles realmente estão tentando fazer. "Isso requer alterações em nossos pontos de acesso?" Não. O filtro de DNS é configurado na camada de DHCP e do resolvedor de DNS. Seus pontos de acesso permanecem intocados. "Isso está em conformidade com o GDPR?" O filtro de DNS registra consultas de domínio, não o conteúdo. Você não está realizando inspeção profunda de pacotes. Desde que você tenha políticas adequadas de retenção de dados e seu aviso de privacidade cubra o monitoramento de rede - o que deveria ocorrer de qualquer maneira - o filtro de DNS é totalmente compatível com o GDPR. Para implantações no setor público e de saúde, geralmente é um requisito de conformidade, e não uma escolha. "E quanto ao PCI-DSS?" O filtro de DNS na verdade fortalece sua postura de PCI-DSS, impedindo que os ambientes de dados de portadores de cartão se comuniquem com domínios maliciosos conhecidos. É um controle positivo, não um risco. - RESUMO E PRÓXIMOS PASSOS (aprox. 1 minuto) - Para resumir: a maioria dos problemas de desempenho de WiFi empresarial não são problemas de hardware. São problemas de software - especificamente, a ausência de um gerenciamento de tráfego inteligente na camada de DNS. Ao implantar o filtro de DNS, você pode recuperar trinta por cento ou mais de sua largura de banda existente, estender a vida útil operacional de sua infraestrutura atual de pontos de acesso em dois a quatro anos e, simultaneamente, melhorar sua postura de segurança e conformidade. O cronograma de implantação é medido em horas, não em meses. O investimento de capital é uma fração de uma atualização de hardware. Os próximos passos práticos são simples. Execute uma auditoria de tráfego de DNS em sua rede esta semana - a maioria das plataformas empresariais fornecerá esses dados sem qualquer ferramenta adicional. Identifique suas principais categorias de domínio que consomem mais largura de banda. Em seguida, avalie uma solução de filtro de DNS em relação a essas categorias. Se você opera uma rede de WiFi para visitantes em grande escala - hotelaria, varejo, eventos, setor público - a plataforma da Purple integra o filtro de DNS com o gerenciamento de WiFi para visitantes e análise em uma única implantação. Isso significa que você obtém a recuperação de largura de banda, os controles de conformidade e os insights de dados de visitantes de uma plataforma em vez de três. Obrigado por ouvir o Purple Technical Briefing. O guia de implementação completo, diagramas de arquitetura e exemplos práticos estão disponíveis no guia escrito complementar. Até a próxima.